ASOSは、攻撃者が信頼できる連絡先になりすまして従業員のログイン認証情報を入手し、同社が利用するサードパーティのプラットフォームを通じて顧客情報にアクセスしていたことを確認しました。ASOSはオンラインのファッション小売企業です。
ASOSは10月8日の続報で、この認証情報によって顧客の氏名や連絡先などの個人情報に不正アクセスされたと明らかにしました。10月6日に発生したサイバーインシデントでは、顧客が同社のモバイルアプリを通じて不正な通知を受信しており、今回の発表でその経緯がより明確になりました。
今回の開示により、焦点は顧客が受け取った衝撃的なメッセージから、より広範なセキュリティ上の問題へと移っています。従業員のIDが侵害されると、顧客データや信頼された通信チャネルが危険にさらされかねないという問題です。
ASOS、従業員へのなりすましを侵入口と特定
10月8日付の顧客向けセキュリティ情報によると、ASOSは、第三者が従業員の信頼する人物になりすまして、その従業員のアカウントにアクセスしたと説明しています。攻撃者はログイン認証情報を入手し、同社が利用する一部のサードパーティ製プラットフォーム上の情報にアクセスしました。
ASOSは、影響を受けたプラットフォームへのアクセスを直ちに制限し、社内のセキュリティチームと外部のサイバーセキュリティ専門家による調査を開始したとしています。また、法執行機関や規制当局とも連携していると述べています。
調査の結果、攻撃者が氏名、連絡先、および個人情報ではない一部のアカウント情報にアクセスしたことが確認されました。 The Guardianによると、顧客の最近の検索履歴もアクセスされた情報に含まれていました。ただしASOSは、調査では顧客のパスワードや決済カード情報にはアクセスされていないことが判明したと説明しています。
同社は、10月のインシデントで影響を受けた顧客数を明らかにしておらず、関与したサードパーティ製プラットフォームのすべてを公表してもいません。
今回の調査結果は、10月6日のインシデントを受けたものです。このとき、第三者が同社の公式アプリを使い、ASOSがハッキングされたと主張する通知を配信しました。メッセージには、攻撃者がSnowflake環境を侵害したとの主張が含まれていました。しかし、 TechCrunchによれば、ASOSはこの主張を確認しておらず、Snowflakeも、同社システムの脆弱性が原因でインシデントが起きたことを否定しています。
10月8日の発表で、攻撃者がどのようにアクセスを得たのかが、より具体的に示されました。一方でASOSは、より広範な調査は継続中だとしています。同社は7月にも、顧客アカウントに関わる別のセキュリティインシデントを公表していました。7月と10月のインシデントに同じ攻撃者が関与していた、あるいは技術的に関連していたという確かな証拠は、現時点ではありません。
認証情報の侵害が示すサードパーティのセキュリティリスク
ASOSが明らかにした攻撃手法により、従業員のID保護が調査の中心的な課題となっています。
攻撃者は、公表済みのソフトウェアの脆弱性を悪用したのではなく、ソーシャルエンジニアリングによって正規の従業員認証情報を入手しました。この点は重要です。マルウェアや既知の脆弱性を阻止するためのセキュリティ対策は、攻撃者が侵害した認証情報で正規に認証を通過した場合、不正アクセスを防げない可能性があるためです。
このインシデントは、サードパーティの業務プラットフォームが、侵害された従業員アカウントの影響をどのように拡大させ得るかも示しています。
多くの組織は、顧客との関係管理、情報の保存、通知の配信を外部サービスに頼っています。十分な権限を持つアカウントを攻撃者が掌握すれば、こうしたプラットフォームが機密情報への新たな経路となりかねません。
ASOSアプリで不正なプッシュ通知が送られた点も、関連する懸念を生みます。顧客は、見慣れないメールアドレスや電話番号から届くメッセージよりも、公式アプリ経由のメッセージを信頼しやすいと考えられます。
セキュリティチームは、特に次の対策に注意を払う必要があります。
- 従業員の認証を強化する。対応しているサービスでは、フィッシング耐性のある多要素認証を使用します。顧客情報やサードパーティの管理ツールにアクセスするアカウントでは特に重要です。
- サードパーティの権限を制限する。従業員のアクセスを、職務に必要なプラットフォームと情報に限定し、権限を定期的に見直します。
- 信頼された通信システムを監視する。通常と異なる管理操作、想定外のメッセージ配信キャンペーン、顧客向けプラットフォームへの不審なログインを検知してアラートを出します。
組織は、連携するサービス全体で、侵害された認証情報とセッションを迅速に無効化する手順も整えておくべきです。
eSecurityPlanetの MFAの弱点に関するガイドが解説しているように、認証方式によっては、フィッシングやセッション窃取などの手法に対して脆弱なままです。こうした手法は、パスワードのみに頼る防御を回避できます。
セキュリティチームは、サードパーティのプロバイダーが、不審な活動の調査と封じ込めに十分な監査ログ、アクセス制限、緊急時の制御機能を提供しているかどうかも検討すべきです。
一方、ASOSの顧客にとって、差し迫った懸念は異なります。
ASOSは、10月のインシデントでパスワードと決済カード情報にはアクセスされていないと述べています。しかし、流出した氏名、連絡先、買い物に関する情報は、犯罪者がより巧妙なフィッシングメッセージを作成するために悪用される可能性があります。
英国の 国家サイバーセキュリティセンター（NCSC）は、今回のインシデントを受けて、不審な連絡に警戒を続けるよう顧客に呼びかけました。
返金を持ちかけるメッセージ、アカウントの確認を求めるメッセージ、緊急のセキュリティ対応を迫るメッセージなど、予期せぬ連絡には注意が必要です。そのようなメッセージを受け取った場合は、見慣れないリンクをたどらず、小売企業の公式サイトまたはアプリに直接アクセスしてください。
ASOSは、10月のインシデントを理由に、顧客がアカウントに関して特別な対応をとる必要はないとしています。同社はまた、自社のウェブサイトとアプリは引き続き安全に利用できると主張し、追加の情報、支援、対応が必要になった場合は顧客に直接連絡すると強調しています。
小売企業をはじめとする事業者にとっての中心的な教訓は、顧客情報の保護には顧客向けのログインページを守るだけでは足りないということです。従業員のID、サードパーティのプラットフォーム、顧客との連絡に使うシステムのすべてに、強力なアクセス制御と継続的な監視が求められます。
ASOSのインシデントは、侵害された従業員の認証情報が、顧客情報や信頼された通信システムを巻き込む、より広範なリスクを生み出し得ることを示しています。
関連記事：なりすまし攻撃から従業員の認証情報を守る方法については、eSecurityPlanetの スピアフィッシングを防ぐ10の戦略もご覧ください。
